Unidad Flash Dañada. Tampoco con Foremost

La semana pasada describía la imposibilidad de recuperar contenido de una unidad flash dañada con photorec. Aunque ya no era necesario recuperar una foto, por simple curiosidad científica apliqué foremost para ver si era capaz otro programa de recuperar algo. Como se puede ver, la orden se ejecutó en la noche del martes, 8 de octubre

Debemos aclarar que lo mejor sería aplicar esta orden sobre una imagen del lápiz, pero como ya explicamos en la entrada anterior, ni con dd ni ddrescue fue posible hacer una imagen de esta unidad, debido a que el chip de control de la memoria flash da errores en los bloques y no se puede acceder al contenido (eso es lo malo de la estructura NAND en las unidades flash). Foremost genera inmediatamente un directorio de recuperación que indica fecha y hora de inicio

y en el que va separando diferentes formatos de ficheros. Como se puede ver, al inicio están todos vacíos. Por desgracia, el viernes, a las 20:45 seguían completamente vacíos sin ninguna recuperación. Esto nos trae una última duda que me ha indicado hckorrotx ¿será posible leer una unidad NAND mediante un editor hexadecimal o el chip de control no dejará acceder a los datos? Veremos a ver si somos capaces de acceder al contenido de alguna manera.

La NO Recuperación de ficheros desde una unidad Flash

La semana pasada me dieron un dispositivo USB en el que en teoría debería estar una imagen muy importante pero que no era posible recuperar. Al poner el dispositivo en mi ordenador estaba completamente vacío. De hecho, parecía recién formateado. Como ya hemos recuperado otras veces mucha información con photorec y foremost, pensé que el problema no era tal. Aplique directamente photorec sobre el dispositivo y...

simplemente dijo que no había nada que recuperar. Me pareció extraño, así que intenté primero hacer una imagen de la unidad con ddrescue y... así estaba 3 días después

Parece ser que hay muchos sectores erróneos y va recuperando trocito tras trocito. Supongo que se debe a que por coste, las unidades flash son tipo NAND, manejadas por bloques, a los que no tenemos acceso directo, estando controladas por un chip de control intermedio; es decir, el sistema no accede directamente a la memoria flash y no se puede hacer una copia seguida de la memoria (la parte correcta más la dañada). Llegado este punto (el ordenador ya me había dicho que necesitaría 203 horas para hacer la recuperación), y como la foto ya no era necesaria, lo dejé correr. Sin embargo, tengo ganas de aplicar otras técnicas, a ver lo que somos capaces de recuperar, aunque solo sea por curiosidad.